UTM設備－合勤ZyWall 1050

ZyWall 1050是合勤推出的最新款UTM（整合威脅管理）設備，管理介面與先前系列截然不同，使用上更為直覺簡單，管理者更易於設定。

以連接埠數來說，ZyWall 1050僅有5個GbE連接埠，比具有7個連接埠的ZyWall 70還少，儘管如此，ZyWall 1050支援第三層VLAN與虛擬介面功能，因此不需要太多實體連接埠，就可以管理多個網段，能夠配合企業所設定的安全區域。ZyWall 1050同樣具備PC Card擴充插槽，可以安裝合勤本身開發的資安加速卡，提高過濾效能。另外還可以安裝2.5吋硬碟，以供未來擴充之用。

而以往都出現在設備背面的PC Card擴充插槽，在ZyWall 1050則改至設備正面，在裝上機架之後，要擴充或更換卡片變得相當容易。在插槽下方則具備撥號備援與Console連接埠，後方則放置4個散熱風扇，確保硬體狀態良好。在ZyWall 1050中，我們可以明顯發現，合勤將所有連接介面都移至前方，讓人更容易使用。

政策導向式設定，提供L3至L7安全防護
從最基本的網路連線設定來說，ZyWall 1050都徹底導入政策化的概念。內部或外部網路區域根據企業管理政策決定，而不再是以IP位址或實體連接埠區隔。管理者可以自由設定各個連接埠，自由分配至WAN、LAN或DMZ，所有的安全政策都是以該虛擬區域為主，不會因為多或少一條網路連線而有所影響，對管理者而言，日後的更新或維護更方便。

所有第四層以上的內容，全部都在Policy選項中設定，不過往常會在防火牆規則中看到的Redirect（重導向）功能，這次則放在Route選項之中，不但可以依據來源與目的IP位址設定不同規則，也可以依據不同使用者而安排專屬的路由途徑。

設備的安全防護機制共有SPI防火牆、IDP、VPN、內容過濾及應用程式檢測等5種主要功能。SPI防火牆最高效能為300Mbps，支援DoS/DDoS防護，並具備應用層閘道器（Application Layer Gateway，ALG），可讓NAT自動偵測並轉送多項協定，避免因為NAT與防火牆阻擋正常服務。

設備的VPN功能主要是供Site-to-Site方式，讓兩個區域網路能彼此連線互通，雖然同樣是採取IPsec加密方式，以建立第二層通道，但並非僅供遠端使用者藉此進入內部網路之用。

ZyWall 1050的IDP與內容過濾功能需要額外付費，不過在myZyXEL.com上註冊後，即可取得30天免費使用的授權。管理者可依據區域不同，設定不同的IDP防禦設定檔。舉例來說，當內部網路要讀取ZyWall 1050後方DMZ區的網頁伺服器，就不需要過濾有害指令或病毒，但是WAN端的外部用戶要存取DMZ區的話，就需要經過嚴格的檢查才會放行，不同區域套用專屬的設定檔，可以兼具安全性與效能。IDP項目中，也提供協定異常與流量異常偵測2種功能，除封包深層過濾外，提供更多的保護。

設備也提供應用程式巡查（Application Patrol）功能，該功能可以補充防火牆之不足，我們可以在防火牆項目設定統一規則，而在應用程式巡查中設定特定應用程式的規範。雖說一般防火牆設定也可以管理應用程式所需的網路服務埠，但都僅能管理第四層以下的流量，透過應用程式巡查功能，則可以偵測動態連接埠，並且提升管理層級至第七層，不但可以管理應用程式，也可以依據使用者權限，設定不同的應用程式使用權限。

ZyWall 1050的認證方式支援LDAP、RADIUS、Active Directory與本機資料庫等4種模式，所有的管理政策權限，除了可以依據區域、功能及應用服務之外，也可以因身分/部門而異。透過使用者權限管理，總管理者就可以開放管理權限，讓各部門設定特有的安全管理政策，避免掛一漏萬的事情發生。

全新管理介面，操作更容易
ZyWall 1050的管理介面與先前大不相同，分類與設定上較為清晰，並利用Java應用程式設計，讓操作更彈性，像是啟動規則的按鈕改以燈號代替，修改各項設定也更容易。在設定項目眾多的IDP中，除了能一條條規則分別檢視之外，也可以隨時切換成查詢功能視窗，提高了不少工作效率。

而設備的精靈模式也比過去的設計更圖像化，主畫面共有單WAN安裝、雙WAN安裝與VPN設定等3種精靈。點選進去後，精靈會以6至8個步驟導引管理者設定，此外，在視窗旁邊也會有相關說明，方便管理者查詢。雖然方便，但美中不足的是僅有英文介面，閱讀起來稍嫌吃力。

如要使用命令列管理ZyWall 1050，除了連接實體Console埠之外，也能從網頁上的WebConsole連入。WebConsole是以Java編寫而成，點選右上角的圖示後，就會彈跳出SSHTerm的視窗，讓習慣使用文字模式的管理者，可以一邊查詢資料一邊操作，當無法連接設備的Console埠時相當好用。

報表與記錄功能良好，需注意硬碟容量
ZyWall 1050的日誌記錄分類相當清楚，我們可以了解事件發生的時間與狀況，但由於沒有特殊顏色標記，查詢時會較為麻煩，這時就可以用搜尋功能檢索相關事件，但先決條件是得知道欲查詢的內容。

設備的報表則是以IP位址或使用者為主，列出封包流向與總流量，是較為簡單的報表。需要較為仔細的報表功能，可以送至Syslog伺服器或合勤自家的Vantage CNM系統。文⊙羅健豪